渗透测试报告由出具机构并加盖报告专用章，两页以上另加骑缝章，测试人员与审核人分别签字。CNAS标识仅在该机构认可能力范围覆盖所测项目时可标注。

一、渗透测试报告应具备的要素

委托方全称与统一社会信用代码、被测系统域名与IP清单、测试起止日期、依据标准与方法（GB/T 25000.51、OWASP Testing Guide v4.2、PTES之一或组合）、漏洞清单及定级依据（CVSS 3.1 或 GB/T 30279-2020）、原始证据（请求与响应记录、截图、复现步骤）、结论页。要素缺失时，委托方安全管理部门一般要求补正后重新出具，重新出具不缩短原定周期。

报告时效同样影响可用性。多数招标文件要求报告出具日期在投标截止日前6个月或12个月以内，超出期限的报告通常不被采纳。整改后如需延长有效期，可仅针对原漏洞清单执行复测并出具复测说明，不必重复全量测试。

二、CNAS实验室与安全公司的差别

做渗透测试要找CNAS实验室还是安全公司呢？其实两者的差别主要在于方法可追溯性与责任结构。

CNAS认可属自愿性认可，检测实验室依据ISO/IEC 17025，检验机构依据 ISO/IEC 17020。认可范围以明细表形式载明，机构仅可在明细表所列项目范围内标注 CNAS 标识，超出范围的结果不得标注，报告可通过CNAS系统查询。

安全公司出具的同类报告加盖公司公章，属于服务交付物。其效力来源是合同约定与项目团队的技术能力，报告格式与要素由机构自行确定，无第三方对测试方法作出确认。两类报告均有使用价值，区别在于适用场合：涉及招投标、监管报送、司法举证时，评审方关注出具主体的资质状态；用于内部风险评估与整改时，判断依据主要是测试深度与漏洞验证质量。

三、如果招标文件要求加盖CMA章怎么办？

2026年第14号公告第二条规定，相关招标、采购或委托方不应将“一单一库”以外的检验检测能力取得资质认定作为招标、采购或委托条件。将渗透测试报告与 CMA章绑定的条款，属于该条禁止的情形。

处理方式为书面澄清：引用条款原文，附认监委能力项目库查询结果，说明渗透测试未纳入库内、报告不标注资质认定标志符合现行规定，请求招标方修改条款。2026 年6月以来，四川井研县、天津滨海新区等地已出现因同类条款导致的废标与投诉成立案例。

如果招标或验收中对渗透测试等安全检测明确要求了第三方检测机构，建议选择像安畅检测这样具备CMA、CNAS检测资质的第三方检测机构，可以应对更全面的资质要求。

第三方软硬件测评请联系：18668969390